企业私有云需同时配置registry-mirrors加速公共镜像、insecure-registries放行私有仓库，二者分工明确：前者仅加速Docker Hub等默认源请求，后者仅白名单HTTP/自签HTTPS私库；必须重载systemd并重启Docker生效。
企业私有云场景下配置 daemon.json，核心目标是：拉取公共镜像要快、访问内部仓库要通、运行容器要稳、运维管理要可控。不能只填一个加速地址，也不能忽略安全与高可用细节。
明确 registry-mirrors 和 insecure-registries 的分工
registry-mirrors 只加速默认仓库（如 Docker Hub）的请求，例如 docker pull nginx 或 docker pull python:3.11；它对带域名前缀的镜像无效，比如 harbor.your-company.com/app:latest 不走这个字段。insecure-registries 是白名单机制，仅用于放行 HTTP 或自签名 HTTPS 的私有仓库，不提供加速功能，只解决“连不上”的问题。
- 若 Harbor 已配置有效 TLS 证书（由可信 CA 签发），就不需要加进
insecure-registries，反而应移除以提升安全性 - 若使用 HTTP 协议或自签名证书，必须把仓库地址（如
harbor.your-company.com或192.168.10.50:5000）写入该字段，且不能带http://或https://
推荐的企业级 daemon.json 配置示例
以下配置适配典型私有云环境（Harbor 私库 + 多源加速 + 基础稳定性调优）：
Docker Image Puller
下载
使用 Python 脚本下载 Docker 镜像并打包为 tar 文件。用户说“下载镜像”“拉取镜像”“pull xxx”“帮我下载 nginx 镜像”等时触发。支持 SOCKS5 代理直连（推荐）和国内镜像站加速两种模式。
{
"registry-mirrors": [
"https://xxxxx.mirror.aliyuncs.com",
"https://docker.m.daocloud.io",
"https://docker.mirrors.ustc.edu.cn"
],
"insecure-registries": [
"harbor.your-company.com",
"192.168.10.50:5000"
],
"exec-opts": ["native.cgroupdriver=systemd"],
"storage-driver": "overlay2",
"log-driver": "json-file",
"log-opts": {
"max-size": "100m",
"max-file": "3"
},
"max-concurrent-downloads": 10
}
- 阿里云地址需登录控制台获取专属 HTTPS 链接，不可复用通用地址，避免限流
- 多个
registry-mirrors按稳定性排序，Docker 顺序尝试，首个失败自动切换下一个 -
max-concurrent-downloads调高至 10，适合 CI/CD 批量构建或节点初始化场景，但需评估宿主机带宽和磁盘 IO -
exec-opts和storage-driver是私有云稳定运行的基础项，避免 cgroup 冲突与 I/O 性能瓶颈
配置后必须执行的操作
修改文件后，Docker 守护进程不会自动加载新配置：
- 重载 systemd 配置：
sudo systemctl daemon-reload - 重启 Docker 服务：
sudo systemctl restart docker - 验证镜像源是否生效：
docker info | grep "Registry Mirrors" -A 1 - 验证私有库是否放行：
docker info | grep "Insecure Registries" -A 1 - 实测拉取：
docker pull harbor.your-company.com/test:hello和docker pull redis:7-alpine分别测试通路与加速效果
进阶建议：对接 Harbor 构建双层架构
单纯配置 daemon.json 是客户端侧动作。企业私有云真正闭环，还需服务端协同：
- 将轩辕专业版或 DaoCloud 设为 Harbor 的上游代理源，让 Harbor 自动缓存热门镜像，降低外网依赖
- 在 Harbor 中启用漏洞扫描、镜像签名、项目配额等策略，配合
daemon.json实现“拉得快、管得住、审得严” - 通过 Ansible 或 SaltStack 统一批量下发
daemon.json，确保所有 K8s 节点、CI 构建机配置一致
